利用Thinkphp 5缓存漏洞实现前台Getshell
*本文原创作者：WindWing，属于FreeBuf原创奖励计划，禁止转载
0×00 背景
网站为了实现加速访问，会将用户访问过的页面存入缓存来减小数据库查询的开销。而Thinkphp5框架的缓存漏洞使得在缓存中注入代码成为可能。（漏洞详情见参考资料）
本文将会详细讲解：
1. 如何判断缓存漏洞存在的可能性
2. 如何利用Thinkphp5的框架漏洞结合网站的一些配置实现前台getshell
希望可以给予读者一些关于漏洞应用的启发。
0×01 环境
测试环境
1.某基于Thinkphp5.0.10搭建的论坛类测试网站
2.apache2
3.php5.6及以上版本，相关php组件
4.mysql
工具
1.dirsearch （github上的一个用python编写的网站路径扫描工具）
0×02 实现
判断缓存漏洞存在的可能性
1.查看网页的cookie，发现存在thinkphp_show_page_trace字段，确定网页基于thinkphp框架。
2.使用 dirsearch 扫描目标网站。python3 dirsearch.py -u site_ip_here -e php发现可以访问 cache目录，说明可能存在缓存漏洞。
实施攻击
1.考虑到这是一个论坛类网站，尝试发帖注入缓存。
2.这是最困难的一步，猜解缓存中的php文件名。根据框架实现，文件名是一个唯一字符串的md5码（此处的md5要用php的函数计算，测试发现和网上的一些在线平台计算结果不同）。考虑到论坛类网站有大量的帖子，需要用数据库存储，而帖子的索引应该为很有可能为id 。
再结合url的路径名，猜测为article_id
echo(md5(“article_52″));
12a51218427a2df68e54e8f4c8b10109
通过访问缓存成功getshell
0×03 原理分析：
框架
在thinkphp框架中，/thinkphp/library/think/cache/driver/File.php中定义了缓存的实现。其中，getCacheKey($name)函数实现了cache文件路径的计算，为获得缓存文件名称提供了可能。
而set()与get()函数以序列化对象的方式无过滤地实现了缓存数据的写入与读出，为代码注入缓存提供可能。
通过测试，可以发现帖子中的内容可以直接写入缓存文件。
由于缓存文件是一个php文件，可以进行代码注入。在代码前加一个回车，使代码行独立于前面的注释行。再在末尾加上注释符号//，注释剩余内容。
网页实现
在处理帖子的代码中，读取帖子首先查询cache文件，通过调用thinkphp5框架中的cache接口实现。
0×04 防御：
1. 从框架入手，在/thinkphp/library/think/cache/driver/File.php 中的set()函数中对于$value参数进行过滤，去除换行符号。(具体代码见参考资料)缺点: 可能会导致缓存文件在展示时文本布局的改变。
2. 从网页实现入手，读取缓存时的使用的唯一索引可以设置的比较复杂，让攻击者无法猜到。如: 3ae282ad69314d68_article_id
3. 从服务器的配置入手，关闭从外部对于cache文件夹的直接访问。
4. 从php的配置入手，关闭eval等危险函数。
0×05 参考资料：
https://paper.seebug.org/374/
*本文原创作者：WindWing(mail)，属于FreeBuf原创奖励计划，禁止转载
- 上一篇：Firefox再次从Tor浏览器中借鉴了一个隐私保护功能
- 下一篇： 本篇已是最新文章
发表评论
6666！！但是有一点，如果按照TP官方的部署方式，web解析目录放在public目录，就不会有这个问题。单一入口的好处，但是总有傻缺开发者并不这么干，比如马甲。。。